Istraživači za cyber sigurnost otkrili su detalje o ranjivosti koja je sada popravljena, a koja je uticala na Microsoft SharePoint konektor u Power Platformi. Ova ranjivost, koja je mogla biti iskorištena, omogućila bi napadačima da prikupe korisničke kredencijale i izvedu naknadne napade.
Prema izvještaju Zenity Labs, ako bi napadači uspješno iskoristili ranjivost, to bi moglo rezultirati post-exploitation akcijama, što bi omogućilo napadaču da šalje zahtjeve SharePoint API-ju u ime imitirajućeg korisnika, čime bi stekao neovlašteni pristup osjetljivim podacima.
„Ova ranjivost može se iskoristiti u Power Automate, Power Apps, Copilot Studio i Copilot 365, čime se značajno širi domet mogućih šteta“, izjavio je Dmitry Lozovoy, viši istraživač sigurnosti.
„Ona povećava mogućnost uspješnog napada, jer omogućava napadačima da ciljevi više međusobno povezane usluge unutar Power Platform ekosistema.“
Nakon odgovornog prijavljivanja u septembru 2024., Microsoft je ispravio ovu sigurnosnu grešku, koja je ocijenjena kao “važna”, 13. prosinca.
Šta je Power Platform i kako je uticala ranjivost?
Microsoft Power Platform je skup alata za razvoj s niskim kodom koji korisnicima omogućavaju analizu podataka, automatizaciju procesa i aplikacije temeljene na podacima. Ova ranjivost je specifično bila povezana sa server-side request forgery (SSRF), koji je nastao korištenjem funkcionalnosti “custom value” unutar SharePoint konektora. Ovo omogućava napadaču da unese vlastite URL adrese kao dio toka.
Međutim, kako bi napad bio uspješan, napadač mora imati ulogu Environment Maker i Basic User unutar Power Platform. Ovo znači da napadač prvo mora steći pristup ciljanom organizaciji na neki drugi način i pribaviti ove uloge.
„Sa Environment Maker ulogom, napadač može stvarati i dijeliti zlonamjenske resurse poput aplikacija i tokova“, objasnio je Zenity. „Basic User uloga omogućava im da pokreću aplikacije i komuniciraju s resursima koje posjeduju unutar Power Platform. Ako napadač već nema ove uloge, prvo ih mora steći.“
Mogući scenarij napada
U hipotetičkom napadu, prijetni subjekt mogao bi stvoriti tok za SharePoint akciju i podijeliti ga s korisnikom niskih privilegija (žrtvom), što bi rezultiralo curenjem njihovog SharePoint JWT pristupnog tokena.
Naoružan ovim tokenom, napadač bi mogao slati zahtjeve izvan Power Platform-a u ime korisnika kojem je pristup odobren.
To nije sve. Ova ranjivost mogla bi se proširiti na druge usluge poput Power Apps i Copilot Studio, stvaranjem naizgled benignih Canvas aplikacija ili Copilot agenata za prikupljanje korisničkih tokena i daljnje eskaliranje pristupa.
„Ovo možete proširiti čak i na Teams kanal tako da ugrađujete Canvas aplikaciju“, napomenuo je Zenity. „Kada korisnici komuniciraju s aplikacijom unutar Teams-a, možete lako prikupiti njihove tokene, proširujući domet napada unutar organizacije.“
Upozorenje za sigurnost u Power Platformu
Glavna lekcija je da međusobno povezane usluge Power Platforma mogu rezultuje ozbiljnim sigurnosnim rizicima, posebno zbog široke upotrebe SharePoint konektora, gdje se pohranjuju mnogi osjetljivi korporativni podaci. Takođe, osiguravanje pravih pristupnih prava u različitim okruženjima može biti komplikovano.
Ovaj razvoj događaja dolazi u trenutku kada je Binary Security detaljno opisao tri SSRF ranjivosti u Azure DevOps-u koje su mogle biti iskorištene za komunikaciju s metadata API endpoints, omogućujući napadaču da prikupi informacije o konfiguraciji računara.
Uzimajući sve u obzir, važno je da korisnici Power Platforma i SharePoint konektora budu svjesni sigurnosnih prijetnji koje proizlaze iz interkonekcija i preduzmu potrebne mjere zaštite kako bi minimizirali potencijalne rizike.
Izvor:The Hacker News
